고신뢰 질문

Mattermost의 신뢰 혜택은 고객이 자체 암호화 키를 관리할 수있는 타사 SaaS 시스템과 비교하여 무엇입니까?

암호화는 타사 SaaS 공급업체가 데이터를 읽을 수 없음을 의미하지 않습니다. 데이터를 안정시킨 데이터베이스에 대한 암호화 키를 제공하는 타사 공급업체는 전송 중인 고객 데이터를 읽을 수 있을 수 있습니다.

예를 들어, 메시지 이력을 검색하는 경우, 암호화되지 않은 메시지에 대한 액세스가 필요하여 검색 용어를 암호화되지 않은 메시지 이력의 단어와 일치시키기 위해 필요합니다.

또 다른 예로, 고객 데이터의 암호화 키는 최종 사용자의 모바일 장치에 배포되지 않는 경우가 많으므로, 타사 시스템이 최종 사용자의 모바일 장치로 푸시 알림을 보내는 경우, 암호화되지 않은 텍스트가 타사에게 공개됩니다.

이와는 대조적으로, Mattermost는 고객에 의해 호스팅됩니다. 데이터는 안정시되고 고객이 생성한 키로 전송 중에도 암호화되며 (어느 공급업체도 손대지 않음), 암호화되지 않은 데이터는 검색 및 모바일 알림을 위해 당신의 IT 팀의 관리되는 시스템에서 처리됩니다.

공급업체의 문서에서 데이터가 읽힐 수 있는지 여부가 명확하지 않은 경우, 직접 물어보세요.

뿐만 아니라, 고신뢰 기업은 암호화 이상을 필요로 하며, 개인 정보, 전체 데이터 소유권, 감사 기능 및 인프라 제어가 필요합니다.

개인 정보 란 타사 서비스가 귀하의 직원의 신분, IP 주소, 위치 또는 액세스 패턴을 모니터링하거나 기록하거나 그 정보를 의도적으로(귀하에게 통보되지 않을 수도 있는) 또는 우연히 데이터 유출을 통해 제공할 수 없음을 의미합니다.

전체 데이터 소유권 은 타사가 언제든지 데이터 접근을 방해할 수 없음을 의미합니다. 타사가 데이터를 읽거나 분석 또는 영리화 할 수 없음을 의미합니다. 상업적 관계를 종료하더라도 백업을 유지할 수 있음을 의미합니다. 또한 언제든지 데이터를 삭제하고 추가 복사본이 남아있지 않음을 확인할 수 있음을 의미합니다.

감사 기능 은 시스템 작업을 완전히 관찰, 모니터링하고 추적할 수 있는 능력을 의미합니다.

인프라 제어 는 사업의 특정 요구에 맞추어 시스템을 운영하고 사용자가 전사망 및 사내, 및 감시와 투명성이 가능한 중요한 기존 시스템과 상호 운용할 수 있는 능력을 의미합니다.

오픈소스 자체 호스팅 시스템으로서 Mattermost는 고신뢰 팀이 필요로 하는 개인 정보, 전체 데이터 소유권 및 인프라 제어를 제공합니다.

Massive, Multi-Tenant Applications (MMTA)의 기본 보안 도전 과제는 무엇입니까?

기밀 데이터가 Massive, Multi-Tenant Applications (MMTA)로 들어가면 시스템이 침해되고도 데이터가 침해당했음을 모르며, 도용된 데이터를 사용하여 다른 시스템을 침해당할 수 있음의 주요 위험입니다.

MMTA 공급업체들의 마케터들은 “데스 스타 로직”을 제공하여 고객의 신뢰를 얻으려고 합니다. “MMTA의 SaaS 제공은 고객의 자위 호스팅된 인프라보다 보안 투자에 더 많은 비용을 지출하기에 은하계에서 가장 안전한 시스템입니다.”문제는 데스 스타 로직이 천문학적인 데이터가 분기되면 사이버 위협의 규모도 증가한다는 사실을 무시한다는 것입니다.

이러한 이유로 고객에게 네 가지 주요 이유로 사이버 위험이 증가합니다:

1) 시간이 지남에 따라, MMTA 공급업체는 국가 차원의 자산이 됩니다

사이버 공격의 노력은 시스템 침해의 가치에 비례합니다. MMTA 공급업체가 보유한 데이터의 가치가 증가함에 따라 사이버 위협의 규모도 증가합니다.

MMTA 공급업체는 시스템 보안의 가장 작은 과실도 심각한 침해로 이어질 수 있게 되었을 때, 적대적 국가의 사이버 전쟁 부문의 주목을끌 정도로 시스템 침해의 가치가 높아지면 “국가 차원의 자산”이 됩니다.

2) MMTA 시스템은 고객을 알려지지 않은 취약성으로부터 보호할 수 없습니다

MMTA 시스템의 단일 버그가 모든 고객을 위험에 빠뜨릴 수 있습니다. 예를 들어, Slack이 거의 400만 명의 사용자를 위한 메시지 이력과 파일을 노출시킨 버그를 보고했습니다 (2017) 그리고 버그로 인해 4억 개의 Microsoft 계정이 계정 탈취에 노출되었습니다 (2018).

다중 테넌트 시스템의 경우 인프라의 버그 또한 취약점을 제시할 수 있습니다. 예를 들어, 2018년에 연구진들은 멜트다운과 스펙터 와 같은 칩 수준의 취약성을 발견하여, 수십 년간 존재해온 이러한 취약점들이 한 테넌트가 실행한 악성 코드가 동일한 CPU를 공유하는 다른 테넌트의 작업에 영향을 미칠 수 있음을 보여주었습니다.

MMTA 시스템의 보안은 내부 및 외부 보안 연구자가 사이버 공격자들보다 항상 앞서갈 수 있어야 한다는 능력에 달려있습니다.

3) 고객은 침해가 발생했을 때를 알 수 없습니다

MMTA 시스템이 침해당하면 알려지지 않은 버그 또는 취약성 때문일 가능성이 높습니다. 따라서 시스템이 침해당했는지 명확하지 않을 수 있으며, 고객은 통보를 받을 수도 없습니다. 게다가, 침해 후에 고객의 보안팀이 MMTA 공급업체를 감사하고 자신들의 기밀 데이터가 어떻게 액세스되거나 도용되었을지 이해할 방법이 종종 없습니다.

결과적으로, MMTA를 통해 기밀 정보가 다른 시스템을 이용하여 고객이 운영하는 다른 시스템을 이용하여 기타 시스템을 악용할 수 있으며 이러한 침해 원인을 추적하고 향후에 대비하기 어려울 수 있습니다.

예를 들어, OneLogin이 2000명의 고객과 70개의 SaaS 앱에 영향을 미치는 암호화된 데이터를 해독할 수 있게한 보안 침해 사건이 보고 됐을 때 , 세부 정보는 모호했으며 고객은 자신들의 위험을 분석하거나 향후 위험을 감소시키는 데 별다른 방법이 없었습니다.

반면에 오픈소스, 자체 호스팅 협업 솔루션은 기업이 가장 가치 있는 자산을 보호하기 위해 사용하는 물리적 보안 및 네트워크 보안 계층 내에 있으며 로깅 및 시스템 이력에 대해 완전한 액세스 권한이 있어 침투가 어디에서, 언제, 어떻게 발생했는지 알 수 있습니다.

무엇보다도, 단일 테넌트 솔루션으로써 귀사의 안전 투자의 합은 귀사의 협업 시스템에 누적되며 이는 은행의 경우 매년 수억 달러가 될 수 있습니다.

4) MMTA 시스템은 귀사의 데이터 크로스 블리딩의 위험을 가져옵니다

MMTA는 또한 공급업체의 다중 테넌트 시스템에서 버그 또는 잘못된 구성으로 인해 귀사의 데이터가 다른 고객 공간으로 누출되거나 그 반대로 누출될 위험이 있습니다. 블리딩은 로깅 시스템, 애플리케이션 로직, 미들웨어 및 데이터 레이어 오류를 통해 발생할 수 있습니다. 2019년, Facebook이 설정 오류로 인해 수십억 사용자의 비밀번호를 몇 년간 평문으로 저장했다고 인정한 사례가 있습니다 .